Как настроить WPA3 на маршрутизаторе Wi-Fi и безопасно подключиться

Продолжаю цикл публикаций из серии FAQ. Чуть раньше я рассмотрел два варианта работы Микротика как «точка доступа» (AP, access point). Логично продолжить и написать про режим Acess Point Client, этот режим еще иногда называют CPE (ведомый), более правильно называть этот режим WISP client. Иными словами, это тот режим, когда порт WAN — порт WiFi, то есть мы подключаемся к провайдеры по WiFi. Дома такой режим тоже может быть: вы хотите организовать мост по WiFi от основного роутера до удаленного потребителя. Помните, что большинство готовых моделей Микротика имеет один радиомодуль, а значит, что они могут только принять канал WiFi, а отдать его могут только по проводу. Однако, если есть необходимость WiFi в обе стороны, то можно собрать роутер самому из запчастей, предлагаемых Микротиком. Но если вам это нужно, и вы до этого доросли, то данный фак вы вряд ли читаете. 

Итак, задача: получить интернет по WiFi от Маршрутизатора1 (и это необязательно Микротик) на Микротик2 и отдать его (интернет) потребителям. При этом, клиенты Микротика2 будут подключены к нему по проводу, а IP должны получить от DHCP сервера Маршрутизатора1.

Дальше я предполагаю, что конфиг Микротика полностью очищен.

1. Настраиваем мост WiFi.

Включаем интерфейс WiFi (я надеюсь вы помните, что после очистки конфига на Микротике интерфейс wlan1 по-умолчанию отключен). 

Как только в списке появится сет, к которой нужно подключится, выделите ее и нажмите кнопку Connect.

Переходим на вкладку Security Profiles, дважды щелкаете строку default и заполняете параметры безопасности сети, к которой вы подключаетесь.

Перейдите на вкладку Registration и убедитесь, что Микротик2 успешно подключился к Маршрутизатору1.

2. IP адрес Микротика2.

Для удобства эксплуатации Микротка2 назначим ему IP адрес. Это можно сделать вручную, но я настрою DHCP client, так интереснее.

Особое внимание уделите параметру Interface, там должен быть интерфейс wlan1. Как только вы нажмете ОК или Apply, интерфейс должен получить IP адрес от Маршрутизатора1 и вы это видите на рисунке в неактивном окне.

После этого Микротик2 будет доступен в сети. Проверим командой ping доступность Маршрутизатора1, понятно, что он доступен, иначе как бы Микротик2 получил IP адрес, но сделаем это, для собственного удовлетворения.

Пусть вас не смущает адрес 192.168.220.220, пример я делаю на реально действующем оборудовании.

3. Последний шаг.

Объединяем все интерфейсы в бридж.

4. Клиенты, подключенные по проводу к Микротику2 начали получать IP адреса от Маршрутизатора1.

И на клиентах появился интернет

5. Возможен и более сложный вариант. 

Он описан выше в режиме «точка доступа». На Микротике2 может быть свой DHCP сервер и клиенты по проводу получают от него IP адреса из другой сети, отличной от сети Маршрутизатора1. Ну дальше NAT и все многочисленные возможности ROS.

Здесь мы говорим о режимах работы роутера, которые можно назвать нестандартными. Организующий сеть LAN роутер можно подключить к провайдеру через Wi-Fi, при этом маршрутизация между «локалкой» и сетью провайдера будет осуществляться самим роутером. Такой режим называется WISP, но есть и другой метод подключения к Wi-Fi. Он называется «Wi-Fi-клиент» и позволяет организовать как бы свитч между LAN-портами и беспроводным модулем, подключаемым к точке доступа. Роутер, который является «клиентом», маршрутизацию не выполняет.

Высокоскоростной беспроводной и кабельный

Режим точки доступа позволяет устройству выступать в качестве центрального концентратора для беспроводных пользователей, предоставляя им доступ к существующей проводной сети. Режим ретранслятора расширяет зону покрытия беспроводной сети вашей существующей беспроводной сети для покрытия «мертвых точек» и доходит до вашего дома или офиса. Затем нажмите «Подключить».

То все настройки будут сделаны после перезапуска устройства. Шаг 4 Проверьте, правильно ли настроено устройство в клиентском режиме. Если ваша домашняя сеть отличается, например, от сети. Первый используется в специальных сетях, которые мы помним — это те сети, где каждый клиент может отправлять данные непосредственно другому клиенту, а вторая необходимость в точке доступа, которая должна быть реализована.

Методы подключения к Wi-Fi

Предупреждаем начинающих администраторов о том, что не во всех моделях роутеров предусмотрены оба режима. Могут вообще отсутствовать и тот, и другой. Фирма TP-Link, к примеру, отдаёт предпочтение протоколу WISP. А компания ASUS снабжает каждый девайс возможностью стать «клиентом Wi-Fi». Заметим, что в роутерах ZyXEL реализовано и то, и другое. Так что, будем рассматривать их дальше.

Как мы увидим позже, эти два режима сосуществуют друг с другом, и использование одного из них регулируется процессом. Радиопередачи имеют недостаток в отсутствии хороших каналов вещания, поскольку шум окружающей среды сильно влияет на качество канала, сообщения фрагментируются в кадрах и пронумерованы постепенно. Это дополнительный режим, и, как упоминалось ранее, требуется, чтобы точка доступа была реализована. Этот метод передачи данных основан на опросе или на запросе клиентов, подключенных к точке доступа.

Таким образом, последнее регулирует доступ к передающей среде очень жестко, и мы будем иметь клиент, который не может отправлять данные, если он ранее не был разрешен точкой доступа и не может получать входные данные, если он не выбран напрямую Точка доступа. В основном, этот метод ориентирован на приложения реального времени, которым необходимо своевременно управлять временем передачи данных.

WISP – сложнее и хуже?

Попытаемся разобраться, что именно происходит, когда мы подключаемся к действующей Wi-Fi-сети по методу WISP. Ещё раз посмотрим на картинку, иллюстрирующую этот протокол:

Включен режим WISP

Понятно, что «нижний» роутер должен выполнять маршрутизацию пакетов, направляемых из «локалки» в сеть провайдера и обратно. Можно объяснить это проще. Задействовав режим WISP, вместо порта «WAN» мы начинаем использовать порт «WLAN», то есть беспроводной модуль. К порту «WAN» обычно подключают кабель провайдера.

Использование протокола WISP не является рекомендуемым, если сеть Wi-Fi, к которой Вы подключаетесь, организована другим домашним роутером.

Двойное преобразование NAT никому не нужно, поэтому без использования профессионального оборудования лучше выбрать режим «клиент Wi-Fi». Ещё можно заметить, что если основным («верхним» по схеме) роутером используются адреса 192.168.1.X, то «локалку» второго девайса настраивают на другие адреса. Например, в этом случае меняют предпоследнюю цифру: 192.168.0.X.

Настройка на примере ZyXEL

Итак, мы уже выяснили, что девайс, в котором задействован режим WISP, можно подключить далеко не к любой сети Wi-Fi. Но когда речь идёт о сетях, организуемых провайдером, смысл попробовать включить WISP есть. Именно в этом случае провайдер будет считать, что к нему подключен единственный девайс, а Вы будете пользоваться локальной сетью с возможностью выйти в Интернет. Режим Wi-Fi-клиента используется в остальных случаях. Но знайте, что при его использовании все ваши «абоненты» будут видимы и для провайдера, и для других клиентов Wi-Fi-сети.

Интерфейс роутера Keenetic V1

Будем рассматривать возможности, предусмотренные в прошивке роутеров Keenetic первого поколения. Web-интерфейс, реализованный в этой прошивке, доступен по адресу 192.168.1.1. По умолчанию используется такое значение, а также, установлен пароль «1234» и логин «admin». Рекомендуем сразу перейти к следующей вкладке: «Система» –> «Режим работы».

Web-интерфейс ZyXEL Keenetic

Рассмотрим, что именно нам здесь доступно.

На вкладке цифрами мы отметили те два пункта, которые имеют отношение к данному обзору:

1. WISP – просто установите селектор, нажмите «Применить», и Вы задействуете требуемый режим
2. Клиент Wi-Fi (здесь он назван «мостом») – установите селектор, а также галочку «Выключить DHCP» и нажмите «Применить».

Слово «мост», когда речь идёт о сетях, является синонимом слова «свитч». Вот, и ещё раз мы убедились в том, что устройство «клиент Wi-Fi» является свитчем (не маршрутизатором). К такому «свитчу» Вы будете подключать локальные девайсы: компьютеры, сетевой принтер и т.д. На рисунке показано, что именно при этом произойдёт.

Включен алгоритм «клиент Wi-Fi»

Глядя на рисунок, можно заметить интересный момент: в сети присутствуют два устройства, которым присвоены равные адреса. Чтобы исправить это, перед тем, как перейти к вкладке «Система…», нужно поменять локальный адрес устройства, допустим, на следующий: 192.168.1.2. В интерфейсе ZyXEL мы сможем так сделать на вкладке «Локальная сеть» –> «Организация сети»:

Меняем локальный IP

После выполнения подобной замены, зайдите в интерфейс уже по новому адресу. Если же в сети Wi-Fi используются другие значения (не 192.168.1.X), ничего менять не надо. Но тогда, чтобы открыть интерфейс, Вы будете подключаться к роутеру через LAN, настроив сетевую карту на «статику».

«Клиент Wi-Fi», два примера

Допустим, попробовав задействовать метод WISP, мы получаем «локалку» без доступа в Интернет. Значит, скорее всего, придётся использовать второй режим, который мы рассматриваем. Сначала, нужно узнать следующую информацию:

1. Чему равен адрес роутера, раздающего Wi-Fi
2. Какой диапазон адресов использует DHCP-сервер, встроенный в данный роутер.

Пусть все указанные адреса выглядят так: 162.168.1.1, 1.2-1.10. Тогда, зайдя в интерфейс настройки будущего «клиента Wi-Fi», меняем локальный IP на такой: 192.168.1.11. Значения, принадлежащие диапазону DHCP, устанавливать нельзя.

Второй пример: цифры были равны 162.168.0.1, 0.1-0.254. В этом случае можно радоваться, так как ничего менять не надо. Просто, в интерфейсе настраиваемого устройства задействуем режим «клиент Wi-Fi». Но затем, чтобы открыть интерфейс повторно, к LAN-порту подключают компьютер:

ПК подключают к LAN

Разумеется, сетевую карту этого компьютера настраивают на статику:

Параметры проводного подключения Windows

Наверное, данное действие комментировать не нужно. Удачного роутинга!

Нарекания и вопросы пользователей

Согласно отзывам, публикуемым на форумах, подключиться с использованием метода WISP можно в редких, исключительных случаях. Всё дело в том, что само оборудование, которое раздаёт Wi-Fi в кафе и в других заведениях, является бытовым или бюджетным офисным. Нужен Интернет – пожалуйста, пользуйтесь, но подключайте обычное абонентское устройство (желательно – одно). При использовании другого метода тоже можно столкнуться с определёнными трудностями. Впрочем, они являются прогнозируемыми.

Пусть к роутеру, который является «Wi-Fi-клиентом», подключены 4 проводных абонента. Тогда, подключившись к действующей точке доступа, мы сразу увеличим число её абонентов на 4 (не на 5, но и не на 1). Сделайте выводы, что из этого следует. Владельцы ТД тоже умеют настраивать оборудование, и открыв web-интерфейс, смогут всё понять. MAC-адреса Ваших «девайсов» будут запомнены, и заодно – забанены. Причём, хакеров для этого приглашать не придётся.

Посмотрите, как в интерфейсе DD-WRT выглядит статистика точки доступа:

Список подключенных абонентов Wi-Fi

В других вариантах эта страница может содержать ещё больше сведений. Допустим, один и тот же набор девайсов появляется в списке периодически, притом, подключаются эти «абоненты» одновременно. Тогда, есть смысл их заблокировать, для чего достаточно перейти к другой вкладке, где настраивается фильтр MAC.

Включение WISP, интерфейс OpenWRT

</span>

Сегодня все большее распространение получает раздача интернета беспроводным путем. На многих объектах, таких, как крупный коттеджный поселок зачастую значительно легче подключить абонентов к сети при помощи одной или нескольких базовых станций, которые будут транслировать информацию на заданную территорию, нежели создавать разветвленную систему кабельных линий витой пары либо оптоволокна. И естественно, при создании подобной сети топологии точка-многоточка одним из ключевых вопросов является клиентское оборудование, с помощью которого абоненты смогут подключаться к ресурсам интернет-провайдера. При решениях, основанных на оборудовании Ubiquiti Networks в качестве пользовательского оборудования могут выступать несколько типов точек доступа, в число которых входят младшие модели радиомостов , и универсальные модели точек доступа .

Рассмотрим чуть подробнее варианты организации клиентского доступа на данных моделях. представляют собой универсальные точки доступа работающие в двух диапазонах – 2.4 и 5 ггц. Их особенностью является интегрированная секторная антенна, которая совмещена в одном герметичном корпусе с высокоэффективной радиочастью. В зависимости от того, на каком удалении находится базовая станция можно использовать как основную модель — , так и ее лайт-версию , которая изначально создавалась с прицелом на использование именно абонентами.

Радиомосты NanoBeam следует использовать в случае, когда базовая станция находится на большом удалении от подключаемого объекта. Интегрированная параболическая антенна обеспечивает мостам возможность подключаться к базовым станциям в условиях большого количества помех и сильно ослабленного сигнала. Некоторым минусом радиомостов в качестве клиентского комплекта оборудования является необходимость повышенной точности при юстировке соединения что диктуется малой шириной диаграммы направленности антенны.

Все перечисленное оборудование относится к серии , отличительной чертой которой является поддержка одноименного фирменного протокола передачи данных, разработанного специалистами Ubiquiti Networks специально для использования в собственном оборудовании. Именно в сетях топологии точка-многоточка раскрываются его сильные стороны. Все дело в том, что протокол AirMax в отличии от хорошо знакомого всем WiFi использует схему TDMA поллинга, которая обеспечивает безколлизионную передачу данных. Рассмотрим эту ситуацию на простом примере. При использовании WiFi все устройства прослушивают радиоэфир определяя его загруженность. Видя, что частота свободна клиент начинает трансляцию информации базовой станции, одновременно с этим другие абонентские устройства слышат что канал занят и ожидают окончание передачи данных.

Подобная схема прекрасно работает когда все абоненты находятся в зоне «слышимости» друг друга, на небольшом удалении. Однако с увеличением расстояния абоненты перестают слышать друг друга, в следствии чего трансляция информации начинается сразу несколькими устройствами вызывая так называемые «коллизии» , ошибки наложения пакетов данных друг на друга. Именно для решения таких проблем и был разработан . При его использовании базовая станция выделяет персональный тайм-слот для отправки данных, жестко управляя процессом обмена информации в сети. Таким образом коллизии исключаются принципиально. Именно поэтому оборудование является столь востребованным при создании провайдерских сетей топологии точка-многоточка. Помимо точки доcтупа и могут работать и с обычным WiFi 802.11. Выбор режима, а так же настройка мощности и других параметров производится в веб-интерфейсе операционной системы AirOS, под управлением которой работают эти устройства. Для администраторов есть возможность доступа к точкам доступа через интерфейс командной строки при помощи SSH или Telnet. При необходимости подключения к удаленному источнику WiFi сигнала также можно использовать миниатюрные точки доступа , которые имеют высокую мощность радиомодулей (до 600 мвт) и работают в диапазоне 2.4 ггц поддерживая стандарты 802.11 b/g/n.

Резюмируя, можно сделать вывод что при выборе клиентского оборудования следует ориентироваться прежде всего на рельеф местности и удаленность базовой станции. Если вам необходимо установить соединение с близкорасположенным источником сигнала прекрасно подойдут точки доступа . В случае же подключения к удаленной базовой станции наилучшим решением будет применение устройств либо младших моделей радиомостов .